Jedna z największych i najpopularniejszych platform VOD dla fanów anime na świecie padła ofiarą ataku hakerów. Wykradziono zatrzęsienie danych o użytkownikach.
Crunchyroll sprawdza doniesienia o możliwym wycieku danych po tym, jak cyberprzestępcy pochwalili się kradzieżą informacji dotyczących około 6,8 miliona osób. Firma potwierdziła, iż prowadzi dochodzenie z udziałem zewnętrznych ekspertów od cyberbezpieczeństwa, a na obecnym etapie uważa, iż problem dotyczy głównie danych ze zgłoszeń obsługi klienta, pozyskanych za pośrednictwem zewnętrznego dostawcy.
Wyciekły imiona, loginy, adresy e-mail, IP i wiele więcej
Początkiem incydentu miało być przejęcie dostępu do konta pracownika wsparcia technicznego współpracującego z Crunchyrollem. Zagraniczne źródła wskazują na Telus International, a dokładniej oddział w Indiach. Atakujący wykorzystali zainfekowany komputer pracownika, a zdobyte dane logowania otworzyły im drogę do kilku narzędzi używanych przez firmę, w tym Zendesk, Slack czy poczty w Google Workspace.
Hakerzy utrzymują, iż pobrali z systemu 8 milionów rekordów, wśród których miało znajdować się 6,8 miliona unikalnych adresów e-mail. Z udostępnionych próbek wynika, iż w ticketach pojawiają się takie dane jak imię i nazwisko użytkownika, login, adres e-mail, adres IP, przybliżona lokalizacja oraz treść samej korespondencji. Informacje o kartach płatniczych miały występować wyłącznie wtedy, gdy klient sam wpisał je do zgłoszenia.
Crunchyroll podkreśla, iż nie ma w tej chwili dowodów na dalszy, aktywny dostęp do ich systemów w związku z tym incydentem, ale przez cały czas monitoruje sytuację. Według deklaracji sprawców ich dostęp został odcięty po 24 godzinach. W tle pojawia się też wątek próby wymuszenia – napastnicy mieli zażądać od firmy 5 milionów dolarów w zamian za nieujawnianie danych, ale nie otrzymali odpowiedzi.
Cała sytuacja po raz kolejny pokazuje, jak łakomym kąskiem dla cyberprzestępców są firmy outsourcingowe obsługujące wiele marek jednocześnie. Przejęcie jednego konta pracownika daje dostęp do ogromnych zbiorów danych, czego przykłady branża widziała już wcześniej, np. w przypadku Discorda. Dla użytkowników to kolejny sygnał, iż choćby zwykłe zgłoszenie do supportu może zawierać więcej wrażliwych informacji, niż początkowo się wydaje.
